TP – Mettre le portail en conformité

BTS SIO SISR 2e année – Bloc 1 – S12 – binôme

Note

But. Tu inventories les traceurs du portail, tu critiques un bandeau de consentement défaillant, tu vérifies par un test qu'une carte tierce ne se charge qu'après accord, tu rédiges les mentions légales et une ligne de registre, et tu traites deux situations (demande d'un droit, fuite de données).

Durée : 2 h 45 (parties A à E), plus le bilan. Prérequis : cours S12 lu. Fichiers : bandeau à critiquer, bandeau de référence, fragment HTML, test. Outils : Node.js, npm install jsdom.

Warning

Les règles juridiques évoluent : pour toute affirmation de ton compte rendu, indique où tu l'as vérifiée (CNIL, Légifrance). Cas et données fictifs.

Note

Comment ce TP fonctionne. Avant chaque manipulation, tu écris ce que tu anticipes (« J'anticipe »). Puis tu confrontes avec les éléments de réponse.

Binôme : ____________ / ____________

Partie A – Inventaire des traceurs (≈ 25 min)

Le portail comprend les éléments suivants. Pour chacun, indique : traceur ou non, exempté ou soumis au consentement, pourquoi.

N°	Élément du portail	Traceur ?	Consentement ?	Pourquoi
1	Cookie de session PHP après connexion d'une association
2	Mémorisation du choix « Refuser » sur le bandeau
3	Plan d'accès fourni par un service tiers, qui dépose ses propres cookies
4	Bouton « Partager sur un réseau social » qui charge un script du réseau
5	Journal d'accès du serveur (adresse IP, page, date)
6	Choix d'un affichage « grands caractères » demandé par l'utilisateur et mémorisé

J'anticipe. Combien d'éléments sur six nécessitent un consentement ? ______

Éléments de réponse

Éléments 3 et 4 : consentement. Éléments 1, 2 et 6 : exemptés (session, mémorisation du choix, personnalisation demandée). Élément 5 : ce n'est pas un traceur (rien n'est écrit sur le terminal de l'utilisateur) mais l'adresse IP est une donnée personnelle : il relève du registre, de la durée de conservation et de l'information, pas du bandeau.

Partie B – Critiquer un bandeau (≈ 25 min)

Ouvre bandeau_non_conforme.html.

Liste au moins cinq défauts au regard du cours (information, choix, équilibre des boutons, moment du dépôt, retrait).
Pour chaque défaut, propose la correction.
Lequel est le plus grave ? Pourquoi ?

J'anticipe. Quel défaut te paraît visible dès l'ouverture de la page ? Lequel n'est visible qu'en lisant le code ? ______________________

Éléments de réponse

Le cumul d'une acceptation implicite, d'un refus caché, d'un cookie déposé et d'une carte chargée avant tout choix, et de l'absence de retrait, rend le consentement invalide.

Partie C – Faire passer le test (≈ 30 min)

Dans un dossier, place consentement.js, consentement_fragment.html et test_consent.js. Installe jsdom : npm install jsdom. Lance node test_consent.js.
Lis consentement.js : retrouve où la carte est créée, où le choix est mémorisé, où il est retiré. Complète : quelle fonction est appelée au chargement ? ______
Casse le programme : dans la fonction appliquer, remplace la ligne if (choix === "accepte") afficherCarte(); else retirerCarte(); par un simple afficherCarte(); (la carte se charge alors quel que soit le choix). Relance le test : quelle vérification échoue ? ______ Remets le code en l'état.
Écris, à la main, un test supplémentaire (deux lignes) qui vérifie qu'un clic sur « Refuser » après « Accepter » retire la carte.

J'anticipe. Quel message d'erreur affichera le test quand tu casseras le code ? ______________________

Éléments de réponse

Après modification, l'assertion « pas de carte avant choix » échoue (message pas de carte avant choix). La fonction appelée au chargement est appliquer(lireChoix()). Un test de plus : après accepter puis refuser, document.querySelectorAll("iframe").length doit valoir 0.

Partie D – Mentions légales et politique de confidentialité (≈ 35 min)

Rédige, pour la page des mentions légales du portail, les rubriques ci-dessous à partir des informations fictives suivantes : commune de Bellevigne (mairie, place de l'Hôtel-de-Ville, téléphone et courriel fictifs à inventer en .example), directrice de publication : la secrétaire générale, hébergeur : le prestataire retenu en S11 (nom fictif), délégué à la protection des données : adresse fonctionnelle fictive.

Rubriques éditeur, directeur de la publication, hébergeur, protection des données.
Pour la politique de confidentialité, une ligne de registre pour le traitement « réservation de salles » :

Champ	Contenu à renseigner
Finalité
Personnes concernées
Données collectées
Base légale
Destinataires
Durée de conservation (proposition à valider par le délégué)
Mesures de sécurité

Quelles informations ne peux-tu pas inventer et que tu dois demander à la direction ? ______

Éléments de réponse

À contrôler : aucun identifiant légal ni certification inventé ; coordonnées en .example ; données minimales ; durée justifiée.

Partie E – Deux situations (≈ 25 min)

E1. Demande d'effacement. Le président d'une association écrit au courriel du portail : « Supprimez toutes mes données, y compris mes réservations passées. » Il y a deux réservations de l'an dernier et une réservation à venir dans six semaines.

Que fais-tu dans l'heure ? Que ne fais-tu pas seul ? ______
Que dois-tu vérifier avant toute suppression ? ______

E2. Fuite. Une agente envoie par erreur le tableau des réservations du mois (noms, téléphones, courriels de 14 personnes) à un destinataire extérieur à la commune. Elle te prévient à 16 h 10 le mardi.

Écris les cinq premières actions dans l'ordre. ______
À partir de quand le délai de notification éventuelle à la CNIL est-il décompté, et qui décide de notifier ? ______
Calcule la date et l'heure limites si le délai est de 72 heures à compter de 16 h 10 le mardi. ______

Éléments de réponse

À contrôler : alerte du délégué, vérification d'identité, pas de suppression de la réservation à venir sans décision, trace écrite, calcul exact du délai.

Rendu

Compte rendu PDF, nommé RENDU-B1A2-S12-NOM.pdf : tableaux A et D, défauts et corrections B, sortie des tests C, réponses E. Aucune donnée personnelle réelle.

Retour en entreprise (si ta situation le permet)

Demande à ton tuteur si et où l'entreprise tient un registre des traitements, qui est le référent protection des données, et ce qui est prévu en cas de fuite. Ne communique aucune donnée personnelle. Anonymise tout document.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation), ou Non évalué.

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B1.3 – Développer la présence en ligne de l'organisation

Note

Les codes sont ceux du référentiel.

Je sais faire, sans aide :

Classer les traceurs d'un site (exemptés ou non)
Critiquer un bandeau de consentement
Tester qu'un contenu tiers ne se charge qu'après accord
Rédiger des mentions légales sans rien inventer
Renseigner une ligne de registre
Réagir à une demande de droit et à une fuite

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________